Кое правило на ASA вижда трафика след разшифроването от VPN

Първото допускане, от което трябва да се откажем, е, че крипто ACL е политика за достъп. Не е. На Cisco ASA този списък отговаря на един тесен въпрос: кои пакети заслужават защита, и този отговор не казва нищо за това дали разшифрованият пакет може да стигне до сървъра зад защитната стена. Достъпът се решава по-късно — от политика на интерфейса, от филтър на групова политика или от двете, в зависимост от това как е изграден тунелът.

Крипто ACL отговаря на друг въпрос

Крипто ACL е списък за съпоставяне. Той казва на тунела какво да шифрова между два партньора; пакет, който не съвпада с него, просто не е защитен. Разширяването му променя обхвата на защитата и нищо друго.

Затова добавянето на подмрежа там може да вдигне тунел, докато самото приложение продължава да не работи. Тунелът е вдигнат, защото вече има съвпадение. Приложението не работи, защото нищо в този списък не разрешава нищо. Два различни въпроса, два различни списъка.

Какво всъщност пропуска настройката за заобикаляне

sysopt connection permit-vpn позволява на защитения трафик да пропусне проверката на ACL на интерфейса, която иначе би се прилагала от входящата страна. Това е удобство за внедрявания на VPN и е глобално. То не засяга груповата политика и не засяга филтъра за оторизация на отделен потребител.

Четете реалната стойност, а не допускането: show running-config all sysopt отпечатва настройката дори когато тя никога не е била задавана явно, и точно там започва голяма част от объркването.

Тъй като настройката е глобална, тестването ѝ като бърз експеримент върху една проблемна подмрежа е лоша сделка. Всеки друг тунел на тази защитна стена споделя резултата. Запазете я за съзнателна промяна с план за връщане назад.

Четете филтъра в посоката на разшифроване

LAN-to-LAN vpn-filter се пише от гледна точка на тунела, а не на интерфейса. Отдалечената мрежа застава на мястото на източника, а локалната мрежа — на мястото на дестинацията, защото така изглежда пакетът след разшифроване. След това същият филтър се оценява отново в обратната посока преди шифроване, с разменени роли на адресите.

Условията за портове заслужават повече внимание от копиран ACL на интерфейс именно по тази причина. Правило, което разрешава един порт за дестинация, може да има нежелан ефект в обратната посока, където нова връзка използва този порт като източник. Запишете коя страна може да инициира, реалната услуга и отсрещната страна, която трябва да остане затворена, преди да изградите списъка.

Потвърдете кой филтър всъщност е прикачен: show running-config group-policy и show vpn-sessiondb detail l2l заедно показват какво е наследила сесията. Редактирането на ACL, към който не сочи никоя политика, не променя нищо.

Не използвайте един ACL обект за две задачи

Интерфейсният access-group и vpn-filter изглеждат като обект от един и същ вид и се оценяват в различни точки с различна ориентация на адресите. Задаването на един списък за двете кани промяна, която оправя тунела и тихо разхлабва физическия интерфейс.

Дръжте ги отделно, именувайте ги по задачата им и нека разликата в посоката се вижда в имената.

Проверявайте с нови връзки, в двете посоки

След планирана промяна отворете една нова връзка, която трябва да бъде разрешена, и една нова връзка, която трябва да бъде отказана, после запишете адресите, посоката и съвпадението с политиката заедно с резултата. Установена сесия не доказва нищо за филтрирането на нови връзки, защото тя вече е била допусната по старите правила.

Вземете предвид и инспекцията. Документацията на доставчика отбелязва, че VPN филтърът проверява началната връзка, а не всяка вторична връзка, която отваря механизъм за инспекция, така че контролен канал и свързаният с него медиен поток могат да получат различно третиране. Ако приложението разпознава протокола, тествайте реалния поток, а не единична проба на порт.

Тунел, който става използваем след широко заобикаляне, ви казва, че ограничението е премахнато, а не че е изпълнено. Резултатът, който си струва да запазите, е именувана точка за налагане, на която можете да посочите при следващия преглед.